CVE-2026-45273
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych ma podatność w handlerze AdminSettings.post dla POST /api/admin/settings, który nie sprawdza właściwości self.admin_user, mimo że ma dekorator auth. Każdy uwierzytelniony zwykły użytkownik może nadpisać konfigurację serwera, w tym poświadczenia SMTP, sekrety OAuth, ścieżki przechowywania i flagi bezpieczeństwa. Ponadto funkcja process_auth_header nie weryfikuje flagi aktywacji konta, co pozwala nieaktywowanym kontom na dostęp. Problem naprawiono w wersji 3.42.0.
Ocena ryzyka
Podatność umożliwia nieautoryzowaną modyfikację konfiguracji, ujawnienie sekretów, sabotaż działania aplikacji i może być wykorzystana do ataków typu code injection.
Rekomendacja
Zaleca się aktualizację MyBooks do wersji 3.42.0 lub nowszej.
Inne podatności w MyBooks
Zobacz wszystkie- CVE-2026-45272Krytyczne
MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych zawiera podatność w obsłudze nazw kluczy SOCIAL_AUTH w handlerze AdminSettings.post. Nazwy te są łączone bez odpowiedniego escapowania do pliku auto.py, co pozwala administratorowi na wstrzyknięcie dowolnego kodu Python. Kod jest wykonywany podczas importu modułu, co umożliwia wykonanie poleceń z uprawnieniami usługi.
- CVE-2026-45274Średnie
MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych nie egzekwuje flagi konfiguracyjnej ALLOW_REGISTER w handlerze SignUp.post, co pozwala nieuwierzytelnionemu atakującemu na utworzenie konta nawet gdy administrator wyłączył publiczną rejestrację. Dodatkowo funkcja process_auth_header nie weryfikuje flagi aktywacji konta, więc nowo utworzone nieaktywowane konto może się natychmiast uwierzytelnić i uzyskać dostęp do funkcji API na poziomie użytkownika. Problem został naprawiony w wersji 3.42.0.
Oryginalny opis (angielski, źródło NVD)
MyBooks is an ebook management web server also known as Talebook. In 3.41.2 and earlier, the AdminSettings.post handler for POST /api/admin/settings in webserver/handlers/admin.py applies the auth decorator but does not check the self.admin_user property, unlike the corresponding GET handler. Any authenticated regular user can therefore overwrite server configuration values including SMTP credentials, OAuth client secrets, storage paths, security feature flags, and autoreload settings. The process_auth_header function in webserver/handlers/base.py also fails to verify the matched account's active flag, allowing a registered but unactivated account to authenticate and reach the vulnerable handler. Exploitation can disclose secrets through configuration access paths, sabotage application behavior, force service restarts, and supply the settings needed for related code-injection attacks. This issue is fixed in version 3.42.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS